Derechos del Consumidor bajo la TDPSA: Sus Derechos de Privacidad de Datos en Texas

Si una empresa de Texas tiene datos sobre usted, la Ley de Privacidad de Datos y Seguridad de Texas le otorga cinco derechos exigibles sobre esos datos, más un derecho separado de apelación en caso de denegación. Aquí se explica exactamente cómo usar cada uno, qué plazos se aplican y qué hacer cuando una empresa se niega.

La TDPSA (Tex. Bus. & Com. Code cap. 541) entró en vigor el 1 de julio de 2024, promulgada como H.B. 4 durante la 88ª Legislatura de Texas. Según la Sección 541.002(a), se aplica a cualquier persona que haga negocios en Texas o se dirija a residentes de Texas, procese o venda datos personales, y no sea una pequeña empresa según lo define la Administración de Pequeñas Empresas de EE. UU. Incluso una pequeña empresa sigue sujeta a la regla más específica de la Sección 541.107, que exige consentimiento antes de vender datos sensibles. Para un panorama más amplio de cómo funciona la ley, consulte el centro de Leyes de Privacidad de Datos de Texas. Para una explicación en lenguaje sencillo del alcance de la ley y a quién cubre, consulte ¿Qué es la TDPSA?

Sus Derechos bajo la TDPSA de un Vistazo

El Capítulo 541 del Código de Negocios y Comercio de Texas le otorga cinco derechos del consumidor sobre los datos personales que mantienen los controladores cubiertos, más un derecho separado de apelación. Según el § 541.051(b), los cinco derechos son:

1. Acceso y confirmación. Usted puede preguntar si una empresa está procesando sus datos personales y solicitar una copia de ellos.
2. Corrección. Usted puede exigir que una empresa corrija inexactitudes en sus datos personales, tomando en cuenta la naturaleza de los datos y el propósito del procesamiento.
3. Eliminación. Usted puede exigir que una empresa elimine los datos personales que obtuvo de usted o sobre usted.
4. Portabilidad. Usted puede solicitar sus datos en un formato portátil y legible por máquina que le permita transferirlos a otro controlador.
5. Exclusión. Usted puede impedir que una empresa use sus datos para publicidad dirigida, venda sus datos a terceros o realice un perfilamiento automatizado que produzca decisiones significativas sobre usted.

La Sección 541.053 añade una garantía separada junto a estos cinco derechos: usted puede apelar cualquier denegación, y si la apelación es denegada, puede escalar el caso al Fiscal General de Texas.

Estos derechos se aplican a los datos personales que usted proporcionó directamente y a los datos que la empresa obtuvo sobre usted de otras fuentes. La ley se promulgó como Acts 2023, 88ª Leg., R.S., Cap. 995 (H.B. 4), con disposiciones principales vigentes desde el 1 de julio de 2024 y el mandato de exclusión universal vigente desde el 1 de enero de 2025.

Cómo Presentar una Solicitud de Derechos bajo la TDPSA

Según el § 541.055(b), una empresa no puede exigirle que cree una nueva cuenta como condición para presentar una solicitud. Usted puede usar una cuenta existente si la tiene. Según el § 541.055(a), un controlador debe establecer dos o más métodos seguros y confiables para que los consumidores presenten una solicitud, así que si una empresa cubierta le ofrece un solo canal, eso en sí mismo es una brecha de cumplimiento que vale la pena documentar. La mayoría de las empresas enlaza a su portal de derechos de privacidad en el pie de página de su sitio web o dentro de su política de privacidad.

Proceso paso a paso:

1. Vaya al sitio web de la empresa y busque en el pie de página o en la política de privacidad un enlace titulado "Texas Privacy Rights," "Your Privacy Rights," "Consumer Privacy Request," o "Do Not Sell My Personal Information."
2. Seleccione el derecho que desea ejercer (acceso, corrección, eliminación, portabilidad o exclusión).
3. Proporcione información de identificación para que la empresa pueda autenticarlo. Esto normalmente significa su nombre, la dirección de correo electrónico asociada con su cuenta y posiblemente detalles de la cuenta o respuestas a preguntas de seguridad.
4. Envíe la solicitud y guarde una copia: una captura de pantalla o un correo electrónico de confirmación es suficiente.
5. El plazo de respuesta de 45 días comienza a partir de la fecha en que la empresa recibe su solicitud, según el § 541.052(b).

Según el § 541.052, las empresas deben proporcionar respuestas de manera gratuita al menos dos veces al año por consumidor. Si sus solicitudes se vuelven manifiestamente infundadas, excesivas o repetitivas, la empresa puede cobrar una tarifa razonable o negarse a actuar, pero la carga de demostrar que se cumple ese estándar recae en la empresa, no en usted.

Plazos: 45 Días, Una Extensión, Luego una Respuesta

La Sección 541.052 establece el plazo de respuesta. Una empresa debe responder sin demora indebida, y a más tardar el día 45 después de la fecha en que recibe su solicitud. Si una empresa necesita más tiempo, puede extender el plazo por 45 días adicionales una sola vez, pero debe notificarle la extensión antes de que cierre el período inicial y explicar por qué la extensión es razonablemente necesaria.

Esto significa que, en el peor de los casos, usted debería recibir alguna respuesta dentro de 90 días en total. Si la empresa decide rechazar su solicitud en lugar de simplemente necesitar más tiempo de procesamiento, debe informarle sus razones y explicarle cómo apelar. Una empresa que guarda silencio después de 45 días sin notificarle una extensión ha infringido el § 541.052, lo que le da motivos para proceder directamente a una apelación o una queja.

Mantenga registros de cuándo presentó su solicitud. El estatuto corre el plazo desde la fecha de recepción de la solicitud, y nada en el § 541.052 reinicia ese plazo si la empresa luego le pide más información. El § 541.052(e) solo dice que un controlador que no puede autenticar una solicitud usando esfuerzos comercialmente razonables no está obligado a cumplirla, y puede pedirle información adicional razonablemente necesaria para autenticarlo a usted y a su solicitud. Responda con prontitud a cualquier solicitud de verificación, y confirme por escrito la fecha de recepción de la empresa cuando pueda, porque el plazo se sigue midiendo desde esa recepción original.

Su Derecho a Acceder y Corregir sus Datos

Acceso (§ 541.051(b)(1)): Usted puede pedirle a cualquier empresa cubierta que confirme si está procesando datos personales sobre usted y que le proporcione una copia de esos datos. El derecho tiene dos partes: confirmación (¿la empresa tiene mis datos?) y acceso (muéstreme lo que tiene). Este es el punto de partida natural antes de ejercer cualquier otro derecho.

Cómo ejercerlo: Presente una solicitud de acceso a través del canal de privacidad designado de la empresa. Es posible que deba especificar las categorías de datos que le interesan o solicitar todos los datos personales que la empresa mantiene. La empresa debe responder dentro de 45 días con confirmación y, si está procesando sus datos, una copia legible.

Corrección (§ 541.051(b)(2)): Una vez que haya visto sus datos, puede exigir la corrección de cualquier inexactitud "tomando en cuenta la naturaleza de los datos personales y los propósitos del procesamiento." Esto importa más para los datos usados para tomar decisiones sobre usted: perfiles crediticios, información relacionada con la salud, registros de contacto o clasificaciones de comportamiento.

Cómo ejercerlo: Presente una solicitud de corrección identificando la inexactitud específica y, cuando sea posible, proporcionando documentación de la información correcta. La empresa tiene 45 días para responder y debe indicarle qué cambió o por qué se negó. Una negativa activa su derecho de apelación.

Su Derecho a Eliminar Datos Personales

Según el § 541.051(b)(3), usted puede solicitar la eliminación de los datos personales "proporcionados por usted u obtenidos sobre" usted. El derecho cubre tanto los datos que usted proporcionó directamente (información de la cuenta, historial de compras, envíos de formularios) como los datos que la empresa adquirió sobre usted de otras fuentes (perfiles de comportamiento, registros de corredores de datos, atributos inferidos).

Cómo ejercerlo: Presente una solicitud de eliminación a través del portal de privacidad de la empresa o el método de contacto designado. Sea específico sobre lo que desea eliminar: categorías de datos, registros específicos o todos los datos personales que la empresa mantiene sobre usted. Se aplica el plazo de 45 días.

La eliminación tiene límites estatutarios. Una empresa puede conservar datos que sean necesarios para completar una transacción, detectar incidentes de seguridad, ejercer o defender reclamos legales, cumplir con una obligación legal, o llevar a cabo ciertas funciones de investigación o interés público. Cuando una empresa se niega a eliminar, debe explicar qué excepción aplica. Las negativas vagas o sin fundamento no son suficientes según el § 541.052.

Su Derecho a la Portabilidad de Datos

La Sección 541.051(b)(4) le permite obtener una copia de los datos personales que previamente proporcionó a la empresa en un formato portátil. El estatuto exige que el formato sea "fácilmente utilizable" y que le permita "transmitir los datos a otro controlador sin obstáculos" en la medida técnicamente factible.

Cómo ejercerlo: Solicite una exportación de datos a través del canal de derechos de privacidad de la empresa. Los formatos comunes incluyen CSV, JSON o hojas de cálculo estructuradas. El calificativo "técnicamente factible" significa que la empresa puede usar formatos estándar en lugar de construir una exportación personalizada; no le permite a la empresa proporcionar un volcado de datos inutilizable ni negarse por completo alegando complejidad.

La portabilidad se aplica a los datos que usted proporcionó al controlador. No necesariamente exige que la empresa exporte los datos que derivó o infirió internamente a partir de su actividad. Al igual que las solicitudes de acceso, las respuestas de portabilidad son gratuitas hasta dos veces al año y deben llegar dentro de 45 días.

Los Derechos de Exclusión: Anuncios Dirigidos, Ventas de Datos y Perfilamiento

La Sección 541.051(b)(5) le otorga el derecho de excluirse de tres usos distintos de sus datos personales:

1. Publicidad dirigida. Anuncios seleccionados para usted según su comportamiento en diferentes sitios web, aplicaciones o servicios que no están bajo propiedad o control común. Si una empresa comparte su historial de navegación o datos de compra con una red publicitaria para mostrarle anuncios de comportamiento, usted puede detener eso.
2. Venta de datos personales. La transferencia de sus datos personales a un tercero a cambio de una contraprestación monetaria u otra de valor. Según la TDPSA, esto incluye intercambios por un valor no monetario, lo cual es más amplio que la definición de Virginia, pero más restringido que el aspecto de "intercambio" (sharing) de la CPRA de California.
3. Perfilamiento en apoyo de decisiones significativas. El procesamiento automatizado que produce decisiones con efectos legales o de importancia similar para usted, cubriendo decisiones sobre crédito, seguros, empleo, vivienda, educación o acceso a bienes y servicios esenciales.

Cómo ejercerlo: Busque en el pie de página o en la política de privacidad de la empresa un enlace titulado "Do Not Sell My Personal Data," "Opt Out of Targeted Advertising," o "Privacy Choices." Presente la solicitud a través del canal designado. Según el § 541.052, la empresa debe respetar su exclusión dentro del plazo estándar de respuesta de 45 días.

Note la distinción entre los derechos de exclusión (anuncios dirigidos, venta, perfilamiento) y el requisito de inclusión (opt-in) para datos sensibles que se aborda más adelante. Los datos personales ordinarios tienen como valor predeterminado la exclusión. Los datos sensibles requieren consentimiento antes de que comience el procesamiento.

Para una comparación de cómo estas reglas de exclusión se comparan con otras leyes estatales, consulte la lista de verificación de cumplimiento de la TDPSA para empresas, que cubre en detalle las obligaciones del lado del controlador.

Control de Privacidad Global: La Exclusión a Nivel de Navegador

Texas es uno de los primeros estados en exigir el reconocimiento de las señales de exclusión universal. La Sección 541.055(e), vigente desde el 1 de enero de 2025, le permite designar un agente autorizado, incluida una señal del navegador como el Control de Privacidad Global (GPC), para presentar en su nombre una exclusión de la venta de datos personales y la publicidad dirigida. El deber que crea es real pero condicional: un controlador debe cumplir con una solicitud de exclusión recibida de un agente autorizado si el controlador puede verificar, con un esfuerzo comercialmente razonable, su identidad y la autoridad del agente para actuar en su nombre.

La misma subsección nombra cuatro situaciones en las que un controlador no está obligado a cumplir: el agente autorizado no comunica la solicitud de manera clara e inequívoca; el controlador no puede verificar con un esfuerzo comercialmente razonable que usted es residente de Texas; el controlador no posee la capacidad de procesar la solicitud; o el controlador no procesa solicitudes similares según una ley estatal o federal comparable. En la práctica, esto significa que una señal del navegador es una exclusión legal genuina en Texas, pero no es absoluta.

Qué es el GPC: El Control de Privacidad Global es una señal a nivel de navegador que usted activa una sola vez. Los sitios sujetos a la ley de privacidad de un estado participante tratan entonces esa señal como una exclusión formal, sujeta a las condiciones anteriores. En el caso ordinario, usted no tiene que buscar el portal de privacidad de cada empresa ni llenar un formulario separado sitio por sitio.

Cómo activar el GPC:

• Firefox: Configuración > Privacidad y Seguridad > Active "Tell websites not to sell or share my data."
• Brave: Configuración > Privacidad y Seguridad > "Send a 'Do Not Sell My Personal Information' signal."
• Chrome o Edge (mediante extensión): Instale la extensión de Control de Privacidad Global desde la Chrome Web Store o Edge Add-ons.

Una advertencia específica de Texas sobre las señales activadas por defecto. La Sección 541.055(f)(2) establece que la tecnología usada para enviar una señal de exclusión universal "no puede depender de una configuración predeterminada, sino que debe exigir que el consumidor haga una elección afirmativa, libremente otorgada e inequívoca para indicar su intención de excluirse." Un navegador que viene con el GPC activado para todos, como ocurre con el navegador DuckDuckGo, no demuestra por sí mismo esa elección afirmativa, por lo que un controlador de Texas tiene una base legal para ignorar la señal. Si su navegador trae el GPC activado de fábrica, la opción más segura en Texas es activar la señal usted mismo en un navegador donde esté desactivada por defecto, o presentar además el propio formulario de exclusión de la empresa para que su elección quede registrada.

Una vez que usted mismo la haya activado, una empresa cubierta por la ley de Texas debe respetar esa señal como una exclusión válida de las ventas de datos y la publicidad dirigida según el § 541.055(e), siempre que se cumplan las condiciones de verificación de esa subsección y no aplique ninguna de sus cuatro excepciones. Esta sigue siendo la forma más eficiente de ejercer sus derechos de exclusión en Texas a gran escala, en docenas o cientos de sitios a la vez. Si quiere tener certeza con una empresa en particular, presentar también su propio formulario de exclusión le cuesta muy poco.

Datos Sensibles: las Empresas Necesitan su Permiso Primero

Para ciertas categorías de datos personales, la TDPSA invierte por completo el valor predeterminado. Según el § 541.101(b)(4), un controlador no puede procesar sus datos sensibles en absoluto sin antes obtener su consentimiento. Este es un requisito de inclusión (opt-in): la empresa debe pedir permiso antes de que comience el procesamiento, no después.

Según el § 541.001(29), los datos sensibles incluyen:

• Origen racial o étnico
• Creencias religiosas
• Diagnósticos de salud o condiciones de salud mental
• Sexualidad
• Estatus de ciudadanía o inmigración
• Datos genéticos
• Datos biométricos procesados para identificarlo de manera única (huellas dactilares, geometría facial, escaneos de retina)
• Datos de geolocalización precisa (típicamente dentro de un radio definido por GPS o tecnología similar)
• Datos personales de niños conocidos

La acción de aplicación de enero de 2025 ilustra la seriedad con la que Texas trata esta categoría. El Fiscal General de Texas demandó a Allstate y a su subsidiaria Arity el 13 de enero de 2025, por presuntamente recopilar datos de geolocalización precisa y de conducción de más de 45 millones de personas sin aviso ni consentimiento, en infracción del § 541.101(b)(4). El caso señala que las infracciones de datos sensibles son una prioridad principal de aplicación.

Si una empresa está procesando cualquiera de estas categorías sobre usted sin haber obtenido su consentimiento, eso constituye una infracción del § 541.101(b)(4) y una base sólida para una queja ante el Fiscal General de Texas.

No Discriminación: las Empresas No Pueden Castigarlo por Ejercer sus Derechos

La Sección 541.101(b)(3) prohíbe que los controladores discriminen en su contra por ejercer cualquier derecho bajo la TDPSA, incluso negándole bienes o servicios, cobrándole precios o tarifas diferentes, u ofreciéndole un nivel de calidad distinto. Una empresa no puede:

• Negarle bienes o servicios porque presentó una solicitud de privacidad
• Cobrarle un precio o tarifa diferente porque ejerció un derecho de la TDPSA
• Ofrecerle una calidad de servicio inferior porque solicitó sus datos o pidió su eliminación
• Tomar represalias contra usted de cualquier otra forma por usar estos derechos

Existe una excepción expresa, y cubre el escenario que la mayoría de los lectores de esta página realmente van a encontrar. La Sección 541.101(c) establece que la subsección (b)(3) no debe interpretarse como una prohibición para que un controlador ofrezca un precio, tarifa, nivel, calidad o selección diferente de bienes o servicios, incluso ofreciendo bienes o servicios sin costo, si usted ha ejercido su derecho de exclusión según el § 541.051, o si la oferta está relacionada con su participación voluntaria en un programa genuino de lealtad, recompensas, funciones premium, descuentos o tarjeta de club. La misma subsección también deja claro que un controlador no está obligado a proporcionar un producto o servicio que requiera datos personales que no recopila ni mantiene.

Así que un sitio que retira un nivel gratuito con publicidad después de que usted se excluye de la venta de datos, o una tienda que lo saca de un descuento de recompensas, no está infringiendo el estatuto automáticamente. La verdadera fuerza de la regla de no discriminación actúa contra una empresa que lo penaliza por una solicitud de acceso, corrección, eliminación o portabilidad, algo que el § 541.101(c) no exime.

La Sección 541.054 va más allá: cualquier disposición contractual que intente renunciar o limitar sus derechos según los §§ 541.051 a 541.053 es "contraria al orden público y es nula e inaplicable." Usted no puede renunciar a sus derechos bajo la TDPSA por contrato, y ninguna empresa puede hacer que hacerlo sea una condición del servicio.

Si usted cree que una empresa lo ha penalizado por ejercer sus derechos, documente el trato cuidadosamente: la negación del servicio, la diferencia de precio o la brecha en la calidad. Incluya esa documentación cuando presente una queja ante el Fiscal General de Texas.

Cómo Apelar una Solicitud Denegada

Si una empresa rechaza su solicitud de acceso, corrección, eliminación, portabilidad o exclusión, debe decirle por qué y explicarle cómo apelar. Según el § 541.053(a)-(c), todo controlador cubierto debe establecer un proceso de apelación que esté disponible de manera visible y que funcione de manera similar al proceso de solicitud original.

Paso 1: Apelación interna ante el controlador. Presente su apelación a través del canal que designe la empresa, típicamente el mismo portal de privacidad usado para las solicitudes iniciales o un correo electrónico de apelación separado. No hay un formulario prescrito. Indique claramente que está apelando la denegación, identifique la solicitud original por fecha y tipo, y explique por qué cree que la denegación fue incorrecta. Guarde una copia de su apelación y la fecha en que la envió.

La empresa debe responder a su apelación dentro de 60 días de recibirla y debe proporcionar una explicación por escrito de su decisión. Note los distintos plazos: 45 días para las solicitudes iniciales, 60 días para las apelaciones. Si la empresa aprueba su apelación, debe tomar la medida correctiva con prontitud.

Paso 2: Escalación al Fiscal General de Texas. Según el § 541.053(d), si la empresa deniega su apelación, debe proporcionarle el mecanismo de queja en línea del Fiscal General de Texas descrito en el § 541.152. La empresa está legalmente obligada a entregarle ese enlace; usted no debería tener que buscarlo por su cuenta.

Si la empresa simplemente ignora su solicitud durante 45 días sin notificarle una extensión, usted no necesita pasar por una apelación formal. La falta de respuesta es en sí misma una infracción, y usted puede presentar una queja directamente ante el Fiscal General.

Cómo Presentar una Queja ante el Fiscal General de Texas

Según el § 541.152, el Fiscal General de Texas está obligado por ley a mantener en su sitio web oficial: (1) información sobre los derechos del consumidor según el Subcapítulo B de la TDPSA, y (2) un mecanismo en línea a través del cual los consumidores pueden presentar quejas sobre la TDPSA. Después de una denegación de apelación, la empresa debe dirigirlo directamente a ese mecanismo.

Dónde presentar la queja:

• Página de quejas de la TDPSA del Fiscal General de Texas: https://www.texasattorneygeneral.gov/consumer-protection/file-consumer-complaint/consumer-privacy-rights/texas-data-privacy-and-security-act
• Portal de Quejas del Consumidor del Fiscal General: https://consumerprotection.texasattorneygeneral.gov/consumercomplaintportal/s/

Qué incluir en su queja:

• El nombre de la empresa y su sitio web
• La fecha en que presentó su solicitud original
• El tipo de solicitud (acceso, eliminación, exclusión, etc.)
• La fecha y el contenido de la denegación de la empresa
• La fecha en que presentó su apelación
• La fecha y el contenido de la denegación de la apelación
• Copias de toda la correspondencia escrita

Cuanta más documentación proporcione, más sólida será su queja. La oficina de aplicación del Fiscal General busca patrones documentados de incumplimiento como disparadores para investigaciones, pero las quejas individuales bien documentadas también pueden dar lugar a acciones contra infractores específicos.

Según el § 541.154, el Fiscal General debe proporcionar al controlador un aviso por escrito de 30 días identificando la infracción alegada antes de presentar una demanda, durante el cual el controlador puede subsanar. Si la infracción no se subsana, el Fiscal General puede buscar sanciones civiles de hasta $7,500 por infracción según el § 541.155. El Fiscal General tiene autoridad exclusiva de aplicación según el § 541.151; no existe un derecho de acción privado. Usted no puede demandar a la empresa por su cuenta. Pero presentar una queja crea un registro formal y puede contribuir a las decisiones de prioridad de aplicación del Fiscal General.

Guías relacionadas

• ¿Qué es la TDPSA? Ley de Privacidad y Seguridad de Datos de Texas
• Lista de Verificación de Cumplimiento de la TDPSA para Empresas (2026)
• Leyes de Privacidad de Datos de Texas: Guía de la TDPSA y Derechos del Consumidor (2026)
• Leyes de Privacidad Biométrica de Texas: Recopilación, Consentimiento y Sanciones (2026)
• Tabla Comparativa de Leyes Estatales de Privacidad de EE. UU. (2026)